àLes années 1980 et 1990 ont été marquées par plusieurs scandales financiers, notamment la faillite de

Lincoln Savings & Loan (1989) et l’affaire ZZZZ Best (1986). Ces événements ont affaibli la confiance des
investisseurs et montré les faiblesses des mécanismes de contrôle interne au sein des entreprises. Face à
ces dysfonctionnements, les États-Unis ont mis en place la Commission Treadway en 1985 pour enquêter
sur la fraude comptable et proposer des solutions permettant d’améliorer la transparence financière et la
gouvernance des organisations. Son rapport, publié en 1987, ajouté les bases du cadre référentiel COSO 1
(1992), un modèle structurant le contrôle interne à travers cinq composantes essentielles.

Cependant, malgré l’adoption généralisée de COSO 1, de nouveaux scandales, tels que ceux d'Enron et
WorldCom (2001-2002), ont démontré les limites de ce cadre. L’évolution des marchés financiers, la
complexité croissante des structures organisationnelles, ainsi que l’expansion de la mondialisation et des
technologies ont nécessité une approche plus intégrée de la gestion des risques. C’est dans ce contexte que
le COSO 2 (2004), également connu sous le nom de Enterprise Risk Management (ERM) Framework, a été
développé afin d’élargir le cadre du contrôle interne à une vision plus globale de la gestion des risques.

Dès lors, une question fondamentale se pose : quelles sont les principales différences entre COSO 1 et
COSO2, et comment cette évolution influence-t-elle la mise en place du contrôle interne au sein des
organisations ?

Pour répondre à cette problématique, nous commencerons par présenter les référentiels COSO 1 et COSO 2.
Ensuite, nous analyserons leurs divergences, avant d’examiner leur impact sur la mise en œuvre du contrôle
interne dans les entreprises.

Présentation des référentiels COSO 1 et COSO 2

COSO 1 (1992) : Internal Control – Integrated Framework

Le reférentiel COSO 1(1992) formet principalement par :

1. Une large définition de contrôle interne et classification des objectives de CI en trois catégories
(opérationnel, fiabilité et compliance) .
2. La décomposition de système de ci en cinq composant (environnement de contrôle, évaluation des
risques, activités de contrôle, information et communication et pilotage) et l'établissement des liens
entre les objectifs et les éléments du contrôle interne.
3. Les rôles et responsabilités du contrôle interne.
4. Les critères d'efficacité.
5. Et, les limites du contrôle interne

Le COSO définit le contrôle interne comme étant « Un processus mis en œuvre par le conseil
d’administration, les dirigeants et le personnel d’une organisation, destiné à fournir une assurance
raisonnable quant à la réalisation des objectifs liés aux opérations, au reporting et à la conformité ». Selon
cette définition, le contrôle interne est un processus qui permet à l'entreprise d'atteindre ses objectives. Il
nécessite la mise en œuvre à tous les niveaux d'organisation. Il ne garantit pas l'absence totale des risques,
mais il permet de les maîtriser et d’assurer la réalisation des trois catégories d’objectifs suivantes :

a) La réalisation et l'optimisation des opérations cette catégorie d'objectifs regroupe les objectifs de
base de l'entreprise, y compris ceux relatifs aux performances, à la rentabilité et à la protection des
ressources c'est-à-dire la manier avec le quelle l’entreprise attint ces objectifs opérationnelles et
financier.
b) La fiabilité des informations financières cette catégorie d'objectifs couvre l’élaboration d’états
financiers et de gestion fiables et pertinents, soit délivrer au interne ou externe. (reporting)
c) La conformité aux lois et aux règlements en vigueur ils concernent le respect des lois et règlements
applicables à l’organisation.
 Les éléments du contrôle interne

Le contrôle interne est décomposé par le référentiel COSO1 en cinq éléments :

1. L'environnement de contrôle : L’environnement peut être défini comme étant l’attitude de la

direction et du personnel face au contrôle interne.

2. L'évaluation des risques : L'évaluation des risques est un processus qui s'appuie sur la fixation des
objectifs alignés sur la stratégie, compatibles et cohérents

3. Les activités de contrôle : elles permettent de s’assurer que les mesures prises contre les risques
identifiés et pour la réalisation des objectifs sont correctement appliquées.

4. L'information et la communication : L'information fiable et pertinente permet à chacun d'assumer ses

responsabilités.

5. Le pilotage : L'ensemble du processus doit faire l'objet d'un suivi et des modifications doivent y être
apportées le cas échéant.

Un lien de synergie et une étroite complémentaire entre les cinque éléments de contrôle interne et les
trois catégorie d’objectifs de contrôle interne, les cinque composants s’appliquent a chacun catégories
d’objectifs forment ensemble un système intégrant capable de réagir de façon dynamique à toute
menace tendant à l’affaiblir. Le contrôle ne garantit pas la réussite des activités opérationnelles, sa
déficience en accélère l'échec et rend le risque d'échec plus dramatique Les systèmes de contrôle
interne les plus performants sont ceux qui font la cohérence entre ces 5 élements :

COSO 2 (2004) Risk Management - Integreted Framework

Le référentiel COSO 2 se base principalement sur COSO 1, en corrigeant et en complétant le concept de

contrôle interne. Il élargit la réflexion en intégrant une approche plus globale de gestion des risques, définie
comme « la possibilité qu'un événement survienne et nuise à l'atteinte des objectifs ». Bien que la définition
de base du contrôle interne reste largement inchangée, COSO 2 étend l'objectif de reporting, conserve les
cinq composantes initiales et en ajoute trois autres. Ces nouvelles composantes visent à répondre aux
besoins des entreprises et des organisations en matière de contrôle interne, tout en leur permettant
d’évoluer vers un processus de management des risques plus avancé.

« Le management des risques est un processus mis en œuvre par le Conseil d’administration, la direction
générale, le management et l’ensemble des collaborateurs de l’organisation. Il est pris en compte dans
l’élaboration de la stratégie ainsi que dans toutes les activités de l’organisation, Il est conçu pour identifier
les événements potentiels susceptibles affecter l’organisation et pour gérer les risques dans les limites de
son appétence pour le risque. Il vise à fournir une assurance raisonnable quant à l’atteinte des objectifs de
l’organisation ». Selon cette définition le rôle de la gestion de risque dans les organisations et d’anticiper les
menaces et de prendre des décisions éclairées en donnent une assurance raisonnable.

Les trois composant de control interne ajouter par COSO 2 :

1. Fixation des objectifs ;

2. Identification des événements internes et externes susceptible d’affecter l’atteinte des objectifs
d’une organisation ;
3. Traitement des risques : le management définit des solutions permettant de faire face aux risques
(évitement, acceptation, réduction ou partage) ;
Divergences entre COSO 1 et COSO 2

Approche :
L’approche du COSO 1 est cadrée et axée sur le contrôle interne au sein des organisations. Bien qu’il ait été
très bénéfique dans son contexte, les changements économiques, l’augmentation des risques et la
fréquence des défaillances d’entreprises ont rendu nécessaire l’intégration de la gestion des risques dans les
entreprises. C’est dans cette optique que le COSO 2 a été élaboré, en intégrant une approche plus large de
management des risques.

Objectifs :

Le référentiel COSO1 donne au contrôle interne trois catégorie d’objectifs tandis que COSO 2 ajoute un
nouvel objectif « stratégique » et élargi la notion de reporting :

Objectif stratégique : c’est de définir la stratégie adapter par l’entrepris par la définition de l’objectif la
vision la mission de l’entreprise.

Reporting : COSO 1 se concentrait principalement sur la fiabilité des informations financières, COSO 2 élargit
cette notion pour inclure tous les rapports produits par l’organisation, qu’ils soient internes ou externes. .

Les composantes :

Le changement de « Composants de contrôle » a « éléments de gestion des risques » et qui passe de cinq à
huit catégories, coso 2 détaille L’élément évaluation des risques par l’ajout des éléments de fixation
d’objectif, Identification des événements, Traitement des risques ; L’élément activités de contrôle reste
inchangé, L’élément « Information et Communication » est plus large dans COSO 2 considère l’importance
de la communication interne et externe de l’entreprise ;

La mise en place de contrôle interne et l’évolution de COSO.

Le contrôle interne reste indispensable pour une gestion efficace des risques d’entreprise et apporte des
précisions sur les éléments énoncés dans le COSO Framework.

L’évolution de COSO 1 à COSO 2 a profondément modifié la manière dont les organisations

conçoivent et appliquent le contrôle interne Les entreprises doivent adapter leurs cartographies des risques
pour anticiper les menaces. Une surveillance continue des événements internes et externes est mise en
place par le conseil d’administration et la direction, qui sont de plus en plus impliqués. Tous les
collaborateurs sont sensibilisés et formés aux enjeux du contrôle interne et de la gestion des risques.

Le contrôle interne est désormais intégré dans tous les processus de l’entreprise et ne se limite plus
aux opérations financières et comptables. Avec l’approche de gestion des risques, les entreprises doivent
également assurer leur conformité aux lois et s’engager dans un reporting plus fiable. Cependant, ces
évolutions entraînent plusieurs défis :

Un déploiement plus long et coûteux : La mise en place du contrôle interne devient plus lourde,
nécessitant des ressources importantes.

Un manque de flexibilité : COSO 2 ne prend pas toujours en compte les spécificités de certaines
entreprises, comme les startups ou les entreprises technologiques, qui privilégient des approches plus agiles
et adaptatives.

Une nécessité de formation accrue : L’élargissement du cadre impose des formations spécifiques à
tous les niveaux hiérarchiques.

Une augmentation des coûts et de la lourdeur administrative : L’élargissement du reporting

implique la création de nombreux documents, procédures et contrôles supplémentaires, ce qui peut ralentir
la prise de décision.
 Un cadre généraliste : COSO 2 propose un référentiel global qui peut parfois manquer de spécificité
pour certains secteurs d’activité.

L’évolution de COSO 1 à COSO 2 a eu un impact majeur sur la conception et la mise en place du

contrôle interne dans les entreprises. En intégrant une gestion proactive des risques et en impliquant
davantage de parties prenantes, COSO 2 permet une approche plus globale et efficace. Toutefois, les
contraintes de mise en œuvre, les coûts élevés et la lourdeur administrative peuvent représenter des défis,
notamment pour certaines entreprises qui nécessitent davantage de flexibilité.

Conclusion :

L’évolution du cadre COSO au fil des années reflète la nécessité d’adapter le contrôle interne et la
gestion des risques aux mutations constantes du climat des affaires. Après le passage de COSO 1 à COSO 2,
une mise à jour a été effectuée en 2013 pour intégrer les nouvelles pratiques de contrôle interne et de
gouvernance. Ensuite, en 2017, une nouvelle version du ERM Framework a été publiée, mettant un accent
plus fort sur l’intégration des risques dans la stratégie d’entreprise et la prise de décision.

Cette progression continue du référentiel démontre que le contrôle interne doit sans cesse
s’adapter aux évolutions économiques, réglementaires et technologiques. Cependant, malgré ces mises à
jour successives, plusieurs questions restent ouvertes quant à l’efficacité réelle du COSO dans un
environnement d’affaires en perpéstuelle mutation.